Session Token Hijacking, Infostealer Malware og Global Session Revocation¶

Að uppgötva að árásarmaður hafi nýlega sent svindl með dulritunargjaldmiðli af YouTube, Instagram, Discord eða X reikningnum þínum, búið til framsendingarreglur í Gmail eða Microsoft 365 pósthólfinu þínu eða fengið aðgang að skýjatölvunni þinni án þess að kveikja nokkurn tíma á 2FA kóða á símanum þínum eða „New Login“ tölvupóstsviðvörun er ótvíræð undirskrift **P Token-the-Cooking (Cookie-Cooking) Infostealer spilliforrit. Þegar þú skráir þig inn á vefsíðu og hakar við "Haltu mér innskráðri" gefur þjónninn út dulkóðaða HTTP-lotuköku eða OAuth-beramerki (eins og Google SID / SAPISID, hjá Microsoft ESTSAUTHPERSISTENT, eða Discord's Authorization token) geymdur í staðbundnum SQLite gagnagrunni vefvafrans þíns.

Vöruupplýsingastealer malware fjölskyldur, þar á meðal Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys og Atomic macOS Stealer (AMOS), bíða ekki á tölvunni þinni eins og hefðbundnir vírusar. Oft dulbúinn sem fölsuð leikjamod, klikkaður hugbúnaðaruppsetningarforrit, fölsuð „ClickFix“ PowerShell CAPTCHA hvetja eða styrktarsamvinnu PDF, upplýsingastealer keyrir á undir 4 sekúndum, afkóðar Chrome, Edge, Brave eða Firefox Cookies og Login Data gagnagrunna í minni, rennur þeim upp með dulritunar-gjaldmiðils veskisskrám þínum, hleður upp skjalasafninu á Telegram eða C2 miðlara og eyðir sjálfu sér. Þegar árásarmaðurinn flytur stolnu setukökur þínar inn í vafra sem varnargreind (Multilogin, Dolphin{anty}, eða Gologin), vefþjónninn heldur að árásarmaðurinn sé þegar auðkennda tölvan þín, og framhjá því algjörlega bæði lykilorðið þitt og tvíþætta auðkenninguna þína.

Gerðu þetta núna¶

1. HÆTTU að breyta lykilorðinu þínu á sýktu tölvunni, aftengdu tölvuna eða Mac-tölvuna strax frá Wi-Fi og taktu Ethernet snúruna úr sambandi. Þetta eru #1 mistök sem fórnarlömb gera: þeir taka eftir því að Discord, Steam eða Gmail þeirra var rænt, setjast við nákvæmlega sömu sýktu borðtölvuna og slá inn glæný lykilorð í Chrome. Ef upplýsingastealer þrautseigjuhleðslutæki eða áætlað verkefni er enn virkt á þeirri vél, mun það strax fanga nýju lykilorðin þín og ferskar lotukökur og senda þær strax aftur til árásarmannsins. Gerðu 100 prósent af lykilorðabreytingum þínum og afturköllun setu úr hreinum snjallsíma (á farsímagögnum eða hreinu Wi-Fi) eða aðskildri, ósnortinni fartölvu.
2. Skilið ykkur að það að skipta um lykilorð eitt og sér ógildir EKKI alltaf stolnum setukakökum eða OAuth endurnýjunartáknum, þú VERÐUR að smella beinlínis á "Skráðu þig út af öllum lotum" OG afturkalla OAuth forrit frá þriðja aðila. Á nokkrum kerfum (og með óskráðum Google MultiLogin / issueToken OAuth endapunktar eða langlífa lotumerki), einfaldlega að breyta lykilorðinu þínu eða snúa 2FA getur skilið núverandi aukalotutákn eða OAuth skjáborðstákn lifandi nema þú framkvæmir vettvangssértæku Global Session & Token Revocation skrefin í töflunni hér að neðan.
3. Ef þú ert með hugbúnaðarviðbót fyrir dulritunargjaldmiðil veski (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) uppsett á sýktu tölvunni, notaðu hreinan síma núna til að flytja fjármuni þína yfir í glænýja vélbúnaðarveski fræsetningu. Infostealer skrár sjálfkrafa dulkóðað vaultLocal Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn fyrir MetaMask) ásamt vistuðum lykilorðum í vafranum þínum. Jafnvel þó að árásarmaðurinn hafi ekki enn snert dulmálið þitt, þá situr hvelfingarskráin þín nú þegar á darknet markaði og bíður eftir ótengdum GPU kex. Framkvæmdu okkar cryptocurrency veski holræsi og fræ setningu málamiðlun leiðbeina strax.
4. Tryggðu „Apex Identity reikninga“ þína (aðalnetfang, lykilorðastjórnun, Apple/Google reikning og fyrirtækjaskráningu) á fyrstu 10 mínútunum. Á hreinum snjallsíma þínum skaltu opna aðal Google / Gmail (myaccount.google.com/device-activity) og Microsoft (mysignins.microsoft.com) reikningar fyrst. Skráðu þig út úr öllum skjáborðslotum, snúðu aðallykilorðinu, athugaðu Stillingar > Áframsending og POP/IMAP og Síur/reglur til að eyða öllum falnum áframsendingarreglum tölvupósts sem árásarmaðurinn bjó til til að fela tölvupósta sem endurstilla lykilorð frá annarri þjónustu og athugaðu skráða lykillykla og auðkenningartæki.
5. ** Endurskoðaðu Windows skrásetninguna þína Run lykla, Task Scheduler og PowerShell sögu ef þú keyrðir nýlega "ClickFix" falsa CAPTCHA skipun (Win + R -> Ctrl + V).** Einn af ört vaxandi upplýsingastealer vektornum í dag er falsaður Cloudflare eða Google CAPTCHA sprettigluggi á vefsíðu sem segir þér að "Ýttu á Win + R, ýttu á Ctrl + V, og ýttu á Enter til að sannreyna að þú sért mannlegur" (sem framkvæmir í hljóði falinn mshta.exe eða powershell -w hidden -enc ... skipun afrituð á klemmuspjaldið þitt).
6. Halda yfirsýn og vernda líkamlegt öryggi ef brotið felur í sér innviði fyrirtækja eða fjárkúgun. Upplýsingaþjófnaðarskrár kalla oft fram sjálfvirkan lausnargjalds- eða kynlífspóst þar sem vitnað er í stolið lykilorðið þitt. Borgaðu aldrei fjárkúgara; sjá okkar kynferðisofbeldi og fjárkúgun á netinu leiðarvísir, og ef þú stendur frammi fyrir líkamlegri ógn skaltu hringja í neyðarnúmerið þitt (911 í Bandaríkjunum og Kanada, 112 í Evrópusambandinu, 999 í Bretlandi, eða sjá okkar neyðarnúmer skrá).

Infostealer & session cookie ræning atviks viðbragðsákvörðunartré¶

flowchart TD
    Root["Grunur um ræningjaköku eða Infostealer malware sýkingu"] --> IsolatePC["SKREF 1: Aftengdu sýkta PC/Mac strax frá Wi-Fi og Ethernet (EKKI breyta lykilorðum á sýktri tölvu)"]

    IsolatePC --> CryptoCheck{"Voru einhverjar Crypto Wallet Extensions (MetaMask, Phantom, Exodus) á þeirri tölvu?"}
    CryptoCheck -->|"Já"| EvacCrypto["Notaðu hreint síma-/vélbúnaðarveski strax til að sópa öllum dulmálseignum í glænýja fræsetningu"]
    CryptoCheck -->|"Nei"| ApexLock["SKREF 2: Á hreinum snjallsíma skaltu fyrst læsa aðalpósti (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["SKREF 3: Framkvæma alþjóðlega lotu + OAuth auðkenni + afturköllun aðgangslykills á öllum mikilvægum reikningum (sjá vettvangsfylki hér að neðan)"]

    GlobalRevoke --> ExportList["SKREF 4: Á sýktri tölvu án nettengingar, flyttu út lista yfir öll vistuð vafralykilorð og vafrakökur til að vita nákvæmlega hvaða reikningum var stolið"]

    ExportList --> CleanOS["SKREF 5: Taktu aðeins öryggisafrit af persónulegum skjölum -> Framkvæmdu hreint stýrikerfi þurrka/setja upp aftur -> Skráðu lykillykla aftur og virkjaðu dulkóðun Chrome forritabundins"]

Að skilja hvernig Infostealers komast framhjá 2FA og DPAPI / Keychain dulkóðun¶

Hvernig getur 200 kílóbæta forrit stolið lykilorðum og lotukökum sem Google Chrome, Microsoft Edge og Brave dulkóða á harða disknum þínum?

1. Windows DPAPI (CryptUnprotectData) og Chrome App-Bound dulkóðun (v20):
2. Í Windows geyma Chromium-undirstaða vafra (Chrome, Edge, Brave, Opera, Vivaldi) vistuð lykilorðin þín inni %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data og setukökur þínar inni \Network\Cookies.
3. Þessir SQLite gagnagrunnar eru dulkóðaðir með AES-256-GCM aðallykli sem geymdur er í %LOCALAPPDATA%\Google\Chrome\User Data\Local State, sem er varið af Windows Data Protection API (DPAPI) tengt innskráðum Windows notandareikningi þínum.
4. Vegna þess að þú keyrðir infostealer sem þinn eigin innskráða Windows notanda, gæti hvaða ferli sem keyrt er undir notandareikningnum þínum sögulega hringt CryptUnprotectData() til að biðja Windows um að afkóða lykilinn. Og til að komast framhjá Chrome 127+ forritabundinni dulkóðun (v20 lyftuþjónusta), nútímalegir upplýsingaþjófar sprauta beint inn í höfuðlausan chrome.exe villuleitarferli (--remote-debugging-port) eða notaðu COM-hækkanir til að biðja Chrome sjálft um að henda öllum afkóðuðu vefkökum í beinni.
5. macOS lyklakippa og Atomic macOS Stealer (AMOS / PoseStealer):
6. Á Apple macOS, infostealers dulbúnir sem .dmg niðurhal (sem biður þig oft um að "Hægri-smelltu -> Opna" eða dragðu táknið að Terminal til að komast framhjá Apple Gatekeeper) birtist falsaður innfæddur macOS svargluggi þar sem stendur "Kerfisstillingar vilja fá aðgang að trúnaðarupplýsingum þínum: Sláðu inn Mac innskráningarlykilorðið þitt". Um leið og þú slærð inn Mac innskráningarlykilorðið þitt inn í þá kvaðningu opnast handritið -/Library/Keychains/login.keychain-db og afritar Safari/Chrome smákökur, Apple Notes og iCloud tákn.
7. Google MultiLogin / OAuthLogin Endurnýjun tákna:
8. Öryggisrannsakendur leiddu í ljós að upplýsingaþjófar stela ekki bara stöðluðum vefkökum, þeir draga líka út óskráðar oauth_token þjónustutákn frá ** ChromeWeb Data (token_service tafla)** SQLite skrá. Jafnvel eftir að fórnarlamb breytir Google lykilorðinu sínu einu sinni, gátu árásarmenn áður spilað aftur það stolna token_service OAuth tákn gegn innri Google OAuthLogin endapunktur til að mynta glænýtt gilt SID vafrakökur nema notandinn hafi beinlínis skráð sig út úr Chrome tækislotunni sem var í hættu OG afturkallað aðgang þriðja aðila/OAuth tækis.

Skref 1: Alþjóðleg lota, kex, OAuth og afturköllunarfylki lykillykla¶

Notaðu hreinan snjallsíma eða hreina aukatölvu, vinnðu nákvæmlega þessa töflu ofan frá og niður. Pöntun skiptir máli: gerðu alltaf Skref A (Skráðu þig út úr öllum virkum lotum/tækjum) og Skref B (Breyta lykilorði) og Skref C (Audit 2FA/Passkeys/OAuth/Forwarding) saman, ef þú breytir aðeins lykilorðinu þínu án þess að slíta virkum lotum, getur flipinn fylgst með því að þú endurheimtir vafra í beinni eða endurheimtar aðferðina í beinni.

Skref 2: Hvernig á að finna út HVER reikningur sem var afhjúpaður á sýktu tölvunni þinni¶

Eftir að þú hefur læst 10 mikilvægustu reikningunum þínum á hreina símanum þínum stendur þú frammi fyrir ógnvekjandi spurningu: "Ég hef notað tölvuna í fjögur ár, hvernig veit ég hvaða af 250 vefsíðunum mínum höfðu vistað lykilorð eða virkar vafrakökur inni í Chrome/Edge þegar upplýsingaþjófurinn var í gangi?"

Meðan þú heldur sýktu tölvunni 100 prósent ótengdu (Wi-Fi OFF, Ethernet ótengdur) skaltu kveikja á henni og taka út nákvæma útsetningarskrá þína áður en þú þurrkar vélina:

1. Flyttu út vistuð lykilorð í vafranum þínum (CSV):
2. Opnaðu vafrann þinn án nettengingar (chrome://password-manager/settings í Chrome, edge://wallet/settings í Edge, eða about:logins í Firefox) og smelltu á Flytja út lykilorð til að vista Chrome Passwords.csv á hreint USB-drif.
3. Af hverju þessi skrá er gull fyrir bata þína: Upplýsingaþjófurinn stal nákvæmlega þessum gagnagrunni. Að hafa Chrome Passwords.csv fyrir framan þig gefur þér nákvæman gátlista yfir hvert einasta notandanafn og lykilorð vefsvæðis sem árásarmaðurinn hefur núna, svo þú missir ekki af gamalli skattgátt, flugmílureikningi eða innkaupasíðu með vistað kreditkort.
4. Skoðaðu hvaða vefsíður voru með virkar lotukökur (chrome://settings/content/all):
5. Í Chrome eða Edge (meðan hann er ótengdur), farðu í chrome://settings/content/all (eða edge://settings/content/all) og flokkaðu eftir Geymd gögn eða Mest heimsótt. Sérhver vefsíða þar sem þú varst skráður inn án þess að slá inn lykilorð var viðkvæm fyrir þjófnaði á vefkökum og þarf að stöðva lotuna.
6. Athugaðu hvort sjálfstæði lykilorðastjórinn þinn (1Password, Bitwarden, KeePassXC) hafi verið opnaður á augnabliki sýkingar:
7. Ef 1Password, Bitwarden eða KeePassXC hvelfingin þín var LÆST þegar infostealer keyrði: Spilliforritið gat aðeins gripið dulkóðaða staðbundna hvelfinguna (data.json eða .kdbx), sem er varið með PBKDF2-SHA256 / Argon2id + aðallykilorðinu þínu (og 34 stafa leynilykill í 1Password). Ef aðallykilorðið þitt er sterkt er innihald hvelfingarinnar öruggt, þó þú ættir samt að snúa aðallykilorðinu þínu í varúðarskyni.
8. Ef lykilorðastjórnunarviðbót þín var OPIN í minni þegar spilliforritið rann upp (eða ef þú vistaðir Aðallykilorðastjórnunarlykilorðið þitt í innbyggðu sjálfvirku útfyllingunni í Chrome.): Gerðu ráð fyrir að upplýsingastealinn hafi hent hvelfingunni þinni eða fangað aðallykilorðið þitt og snúðu öllum mikilvægum skilríkjum inni í hvelfingunni þinni.

Skref 3: Veiða og uppræta þrautseigju Infostealer áður en þú þurrkar af stýrikerfinu¶

Áður en þú tekur öryggisafrit af persónulegum skjölum þínum og framkvæmir hreina uppsetningu stýrikerfisins geturðu skoðað hvernig upplýsingastealinn kom inn í kerfið þitt og hvort það hafi sleppt viðvarandi aukahleðslutæki (svo sem tímasett verkefni, skrásetning Run lykill, Startup .lnk flýtileið eða illgjarn Chrome viðbót):

1. Keyrðu þessa ótengdu PowerShell viðvarandi endurskoðun (Windows)¶

Opnaðu PowerShell (Admin) á tölvunni án nettengingar og keyrðu þessar fjórar skrifvarða réttarrannsóknir:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Hvers vegna er mælt með enduruppsetningu á hreinu stýrikerfi (með USB miðli) eftir Infostealer¶

Þegar keyrt er Microsoft Defender Offline Scan og Malwarebytes eftir að hafa hreinsað Defender-útilokanir fjarlægir þekktar þrautseigjuhleðslutæki, safna vöruupplýsingaþjófunum oft aukabúnaði RAT (Fjaraðgangstróju), SystemBC SOCKS5 proxy eða Clipper malware (sem skiptir um hvaða Windows-klippuborð sem er í hljóði og víxlar hljóðlaust annað WindowsE klippiborðið þitt). veskis heimilisfang með heimilisfangi tölvuþrjótar). - Þegar þú hefur afritað persónuleg skjöl, myndir og Chrome Passwords.csv af tölvunni án nettengingar skaltu framkvæma hreina Windows 11 USB enduruppsetningu (eða MacOS Eyða öllu efni og stillingum) í samræmi við okkar leiðbeiningar um spilliforrit, lausnarhugbúnað og njósnahugbúnað.

3. Endurskoðun macOS og Linux kerfa fyrir Infostealer artifacts (Atomic macOS Stealer / AMOS, Poseidon, og illgjarn vafraviðbót)¶

Ef sýkta vélin þín er Apple MacBook/iMac eða Linux þróunarvinnustöð frekar en Windows PC, keyrðu þessar ótengdu flugstöðvarprófanir til að greina og uppræta þrautseigju:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Innihald fyrirtækja og skýjastjórnunar (Microsoft Entra ID, Okta, Google Workspace og AWS IAM)¶

Ef tölvan sem sýkt var af upplýsingastealanda tilheyrði hugbúnaðarverkfræðingi, DevOps stjórnanda eða fyrirtækisstarfsmanni sem var með virkar lotur í Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS eða Cloudflare, þá er hreinsun staðbundinna tækja aðeins hálf baráttan. Framkvæmdu þessar afturköllun skýjaskrár strax:

• Microsoft Entra auðkenni (Revoke-MgUserSignInSession): Með því að smella á „Skráðu þig út“ í einum vafra afturkallar það ekki alltaf Primary Refresh Tokens (PRTs) eða Azure CLI (az login / .azure/msal_token_cache.bin) tákn afrituð af diski. Entra stjórnandi verður að keyra Revoke-MgUserSignInSession -UserId user@company.com í Microsoft Graph PowerShell til að endurstilla notandann signInSessionsValidFromDateTime eiginleika og ógilda öll endurnýjunartákn á öllum endapunktum samtímis.
• AWS CLI & þróunartákn snúningur (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Vöruupplýsingaþjófar skanna sérstaklega heimaskrá hvers notanda að .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, og Docker/Kubernetes stillingarskrár. Slökktu strax og snúðu öllum AWS IAM aðgangslyklum (AKIA...) í AWS stjórnborðinu, afturkalla GitHub Personal Access Tokens (ghp_...), og eyða óvarnum SSH opinberum lyklum af framleiðsluþjónum (-/.ssh/authorized_keys).
• Skrifborðsskilaboð og VPN viðskiptavinalykihreinsun (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Fyrir utan netvafra, afrita infostealer einingar sérstaklega %APPDATA%\Telegram Desktop\tdata skrá (sem gerir árásarmanni kleift að klóna allan Telegram reikninginn þinn á tölvuna sína án SMS kóða), %APPDATA%\Slack\storage, og vistað OpenVPN (.ovpn) / WireGuard (.conf) VPN snið fyrirtækja. Opnaðu Telegram í símanum þínum (Stillingar > Tæki -> Ljúktu öllum öðrum lotum), skráðu þig út úr öllum Slack vinnusvæðum (slack.com/account/settings -> Skráðu þig út allar aðrar lotur), og biddu netkerfisstjórann þinn um að afturkalla og endurútgefa VPN viðskiptavottorð fyrirtækisins.

Forvarnir: Hvernig á að gera vafrann þinn og reikninga ónæma fyrir Infostealers¶

Þegar kerfið þitt er hreint og reikningarnir þínir eru endurheimtir skaltu innleiða þessar fimm varnir svo upplýsingaþjófur geti aldrei rænt stafrænu lífi þínu aftur:

• Aldrei geymdu lykilorð inni í innbyggðum lykilorðastjóra vefvafrans þíns (Chrome / Edge / Brave / Firefox Autofill) án vélbúnaðar/Master Key: Sérhver vöruupplýsingaþjófi á jörðinni miðar á Chrome's Login Data SQLite tafla fyrst. Slökktu á SLÖKKT „Bjóða til að vista lykilorð“ inn chrome://password-manager/settings og geymdu lykilorðin þín í sérstökum lykilorðastjóra án þekkingar (1Password, Bitwarden, Proton Pass, eða KeePassXC) stilltur á Sjálfvirk læsing strax þegar kerfið læsist eða eftir 5 mínútna aðgerðaleysi.
• Virkja „Device-Bound Session Credentials (DBSC)“ og „App-Bound Encryption“ í Chrome 127+: Gakktu úr skugga um að Google Chrome eða Edge sé uppfært í nýjustu útgáfuna og sett upp í sjálfgefna kerfisskránni (C:\Program Files\Google\Chrome\Application) svo að GoogleChromeElevationService getur bundið dulkóðun fótspora við kerfisréttindi og TPM vélbúnaðarlykla með Device-Bound Session Credentials (DBSC).
• Slökkva á Windows Run Box (Win + R) eða mshta.exe til að loka á „ClickFix“ fölsuð CAPTCHA árás: Aldrei ýta á Win + R -> Ctrl + V -> Enter þegar CAPTCHA vefsíða, falsaður Cloudflare skjár eða sprettigluggi „Fix Microphone / Fix Font“ biður þig um að líma skipun í Run gluggann þinn eða Terminal, staðfestir engin lögmæt vefsíða á jörðinni mannkynið með því að biðja þig um að líma kóða inn í Win + R eða macOS Terminal.
• Notaðu vélbúnaðaröryggislykla (YubiKey) eða lykillykla + Krefjast endurauðkenningar fyrir viðkvæmar aðgerðir: Meðan stolnar setuvafrakökur komast framhjá fyrstu innskráningartilkynningum, framfylgja helstu kerfum (Google, GitHub, Cloudflare, AWS, Coinbase) Step-Up Authentication (Sudo a Mode) krefjast líkamlegrar auðkenningar (Sudo a Mode) ** ýta á bikalykil eða bika2. leyfa hverjum sem er með setukaka að breyta lykilorðinu þínu, flytja út gögn eða bæta við úttektarfangi.
• Athugaðu hvort tölvupósturinn þinn eða þjófnaðarskráin þín hafi birst á Darknet Monitoring Databases: Farðu á haveibeenpwned.com (sem nú skráir milljónir netfönga fyrir fórnarlamb þjófnaðarskrár og lén í hættu) og virkja ókeypis tilkynningar um myrkurbrot fyrir netföngin þín.
• ** Einangraðu ótraust niðurhal, leikjastillingar og forskriftir frá þriðja aðila inni í sýndarvél eða Windows sandkassa**: Aldrei keyra óstaðfest .exe, .msi, .dmg, .bat, eða Python pip / Hnútur npm forskriftir eftir uppsetningu beint á stýrikerfi gestgjafans sem geymir staðfestu vefvafralotuna þína og fjárhagslega innskráningu. Virkjaðu Windows Sandbox (innbyggt í Windows 10/11 Pro og Enterprise með Kveiktu eða slökktu á Windows eiginleikum > Windows Sandbox) eða notaðu einangraða sýndarvél með núll vistaðar vafrakökur þegar þú prófar tól frá þriðja aðila.

Algengar spurningar¶

Tengdir leiðsögumenn¶

• Sýking gegn spilliforritum, lausnarhugbúnaði og njósnahugbúnaði
• MFA phishing og Adversary-in-the-Middle (AiTM) framhjá
• MFA lokun: hvernig á að endurheimta læsta reikninga
• Tölvupóstsreikningur brotinn inn, framsendingarreglur og endurheimt
• Dulritunargjaldmiðill veski holræsi og fræ setningu málamiðlun
• Lokun lykilorðastjóra og endurheimt neyðarhólfa
• Neyðarnúmeraskrá

Heimildir athugaðar¶

• Cybersecurity and Infrastructure Security Agency (CISA) & FBI (Bandaríkin): *Samegin netöryggisráðgjöf um Infostealer malware (LummaC2, RedLine, Rhadamanthys) og Mitigating Token/Session Theft (CSAE24 / MITER ATT&CK T1539: Steal Web Session. Cookie & T15:50 Web Session.
• National Institute of Standards and Technology (NIST) (Bandaríkin): NIST SP 800-63B: Leiðbeiningar um stafræn auðkenni: Stýring á lotum, endurvottun og bindingu tákna.
• World Wide Web Consortium (W3C) og Google Chromium öryggisarkitektúr: Device Bound Session Credentials (DBSC) Forskrift og Chrome App-Bound dulkóðun (v20 DPAPI hækkun) Tækniskjöl.
• National Cyber ​​Security Center (NCSC) (Bretland): Að draga úr spilliforritum, upplýsingaþjófnaði og loturæningjum í fyrirtækja- og neytendaumhverfi.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) staðlar.